Advies nr 58/2014 van 5 november 2014
Betreft: Adviesaanvraag betreffende de ontwerpen van koninklijk betreffende de voorwaarden waaronder de kansspelen via informatiemaatschappij-instrumenten kunnen worden aangeboden en betreffende de nadere regels van toezicht op en controle van de geëxploiteerde kansspelen op vergunde websites. (CO-A-2014-041)
De Commissie voor de bescherming van de persoonlijke levenssfeer;
Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 29;
Gelet op het verzoek om advies van de Minister van Justitie, ontvangen op 23/04/2014;
Gelet op de aan de aanvrager gevraagde bijkomende inlichtingen en de op 6/06/2014 ontvangen antwoorden;
Gelet op het onderzoek van de aanvraag tijdens de zitting van de Commissie van 02/07/2014 en de beslissing van de Commissie om bijkomende technische informatie in te winnen;
Gelet op de gevraagde bijkomende informatie en de antwoorden die tijdens de vergadering van 14/10/2014 werden verstrekt door een vertegenwoordiger van de Kansspelcommissie;
Gelet op het verslag van de heer Frank De Smet;
Brengt op 5 november 2014 het volgend advies uit:
. .
A. ONDERWERP EN CONTEXT VAN DE AANVRAAG
1. Met haar schrijven van 23/04/2014 vroeg mevrouw Annemie Turtelboom, Minister van Justitie het advies van de Commissie over de verenigbaarheid met de grondbeginselen van de bescherming van persoonsgegevens van:
artikel 11 van het ontwerp van koninklijk besluit betreffende de voorwaarden waaronder de kansspelen via informatiemaatschappij-instrumenten kunnen worden aangeboden en welke minstens betrekking hebben op de registratie en identificatie van de speler, de controle van de leeftijd, de aangeboden spelen, de spelregels, de wijze van betaling en de wijze van verdeling van prijzen (hierna het "ontwerp van koninklijk besluit betreffende de webservices");
de artikelen 16 en 17 van het ontwerp van koninklijk besluit betreffende de nadere regels van toezicht op en controle van de geëxploiteerde kansspelen op vergunde websites (hierna het "ontwerp van koninklijk besluit betreffende het toezicht en de controle").
2. .Volgens artikel 43/8, § 2, van de wet van 7 mei 1999 op de kansspelen, de kansspelinrichtingen en de bescherming van de spelers (hierna de "wet op de kansspelen"), zoals deze werd gewijzigd door de wetten van 10 januari 2010, handelend over de uitbating van kansspelen via informatiemaatschappij-instrumenten, "bepaalt de koning bij in de Ministerraad overlegd besluit:
(…)
2° de voorwaarden waaronder de spelen kunnen worden aangeboden en welke minstens betrekking hebben op de registratie en identificatie van de speler, de controle van de leeftijd, de aangeboden spelen, de spelregels, de wijze van betaling en de wijze van verdeling van prijzen;
3° de nadere regels van toezicht op en controle van de geëxploiteerde kansspelen en die minstens betrekking hebben op de voorwaarde dat de servers waarop de gegevens en de website-inrichting worden beheerd, zich bevinden in een permanente inrichting op het Belgisch grondgebied;
(…)".
3. De voor advies voorgelegde ontwerpen van koninklijk besluit voeren specifiek de punten 2° en 3° van deze bepaling uit.
4. De Commissie merkt op dat de voor advies voorgelegde ontwerpen van koninklijk besluit niet vergezeld zijn van enig verklarend document, zelfs niet van een verslag aan de Koning.
5. De aanvrager heeft op 6 juni 2014 geantwoord op een reeks bijkomende vragen.
6. Tijdens haar zitting van 2/07/2014 heeft de Commissie beslist bijkomende inlichtingen in te winnen over de technische werking van de webservices. De antwoorden op de gestelde vragen werden op 14/10/2014 verstrekt door een vertegenwoordiger van de Kansspelcommissie.
B. ONDERZOEK VAN HET ONTWERP VAN KONINKLIJK BESLUIT BETREFFENDE DE WEBSERVICES
B.1. Algemene voorstelling
7. Het ontwerp van koninklijk besluit betreffende de webservices bestaat uit 26 artikelen. Het bevat een aantal definities (hoofdstuk 1, artikel 1) en de voorwaarden waaronder online kansspelen kunnen worden aangeboden:
de principes betreffende de webservices bestemd om de naleving van de reglementering te controleren;
de regels inzake de maximuminzet van de speler, op de maximumwinst per spel in hoofde van de vergunninghouder, het minimale herverdelingsgehalte en het uurverlies van de speler;
de functionele en technische beschrijving van de verschillende webservices door de Kansspelcommissie;
de technische ondersteuning betreffende de webservices die geboden wordt aan de vergunninghouders;
de voorwaarden betreffende de aangeboden kansspelen en de spelregels;
de specifieke voorwaarden inzake de wijze van betaling door de vergunninghouders aan de spelers;
de voorwaarden voor de verdeling van de prijzen.
B.2. Voorstelling van de werking van de webservices
8. De webservices vormen de "technische standaard om het informaticasysteem te gebruiken dat de reglementaire bepalingen van de Kansspelwet inzake de exploitatie van kansspelen via informatiemaatschappij-instrumenten controleert" (definitie, artikel 1, 4°).
9. Deze webservices worden ontwikkeld door de Kansspelcommissie. Zij worden door de aanvullende vergunninghouder1 geïntegreerd en gebruikt bij de exploitatie van het kansspel op de vergunde website (artikel 2).
10. Het grondbeginsel van de webservices bestaat erin dat elke speler die zich aanmeldt op een vergunde website wordt geregistreerd en geïdentificeerd via de webservices en hierna een spelerssleutel toegewezen krijgt door de Kansspelcommissie. De webservices die de spelers registreren en identificeren controleren of een speler zich niet bevindt in één van de wettelijke uitsluitingsgevallen en dit niet alleen bij het aanmelden maar elke dag opnieuw. De spelsessie van een speler die zich bevindt in één van de uitsluitingsgevallen wordt onmiddellijk afgesloten. Bij vermoeden van fraude of witwassen ten aanzien van een speler blokkeert de Kansspelcommissie de toegang tot de vergunde websites voor deze speler (artikel 3).
11. Volgens de door de aanvrager verstrekte inlichtingen verloopt de technische werking van de webservices als volgt: de gebruiker registreert zich op de website van de houder van een bijkomende licentie, deze stuurt vervolgens deze registratie elektronisch door aan de Kansspelcommissie die op haar beurt controleert of de speler zich niet in één van de wettelijke uitsluitingsgevallen bevindt (vrijwillige uitsluiting, persoon met verbod om te spelen, persoon met schulden, minderjarige,…) en hem een token als speler bezorgt. Een speler mag deze token niet doorgeven aan een derde hoewel dit theoretisch mogelijk is.
12. De webservices zullen eveneens toelaten de regels te controleren betreffende de maximale inzet van de speler, de maximale winst per spel in hoofde van de vergunninghouder, het minimale herverdelingsgehalte en het uurverlies van de speler (artikelen 5 en 6).
B.3. Algemeen onderzoek van het ontwerp van koninklijk besluit
13. De Commissie acht zich gemachtigd een advies te verstrekken over heel het ontwerp betreffende de webservices en niet enkel over artikel 11 zoals gevraagd door de aanvrager.
De webservices kaderen immers onder meer in het informatieverwerkingssysteem betreffende personen die uitgesloten zijn van deelneming aan kansspelen zoals bedoeld in artikel 54 van de wet op de kansspelen. Overeenkomstig artikel 55, 4de lid, van deze wet is het advies van de Commissie vereist met betrekking tot de beheersregels van het systeem van informatieverwerking en de nadere regels inzake de informatieverwerking en de toegang tot het systeem van informatieverwerking met de gegevens van de uitgesloten personen.
1 De uitbating van kansspelen via informatiemaatschappij-instrumenten vereist een bijkomende vergunning die enkel betrekking kan hebben op de uitbating van spelen van dezelfde aard als deze die in de reële wereld aangeboden worden (artikel 43/8 van de wet op de kansspelen).
14. De Commissie merkt vooraf op dat de door het ontwerp van koninklijk besluit opgerichte webservices reeds verschillende jaren operationeel zijn, zoals blijkt uit de laatste jaarverslagen van de Kansspelcommissie2 en de door de aanvrager verstrekte uitleg. De aanvrager heeft bij die gelegenheid trouwens verduidelijkt dat de huidige werking van de webservices de inspiratiebron vormt van de voor advies voorgelegde ontwerpen van koninklijk besluit.
15. Zo werd de Kansspelcommissie onder meer door het Sectoraal comité van het Rijksregister bij beraadslaging nr. 72/2012 van 5 september 20123 gemachtigd om in dit verband toegang te hebben tot het Rijksregister. In deze beraadslaging oordeelt het Comité dat om haar taak van uitoefening van controle op de naleving van de wet op de kansspelen correct te kunnen uitvoeren, de Kansspelcommissie dient te beschikken over persoonsgegevens van de te controleren betrokkenen. Het gaat onder meer over:
de verificatie van de wettelijk vereiste registratiegegevens in kansspelinrichtingen en bij kansspelen via informatiemaatschappij-instrumenten, (art. 34/4, § 3,, 54 en 62 Kansspelwet);
het verzekeren van de regelmatige en correcte werking van het EPIS systeem in kansspelinrichtingen en bij kansspelen via informatiemaatschappij-instrumenten en dus verhinderen dat uitgesloten spelers en andere categorieën van niet toegelaten personen toegang verkrijgen via manipulatie van gegevens, (artikel 55 Kansspelwet);
Het toepassen van het uurverlies ter bescherming van de speler, in het bijzonder bij kansspelen via informatiemaatschappij-instrumenten, daar dit rechtstreeks samenhangt met de registratiegegevens van de speler. Daar waar in de reële wereld het wettelijke uurverlies gekoppeld is aan de machines, is dit op internet enkel mogelijk door een koppeling van de reeds verloren bedragen op naam van een regelmatig geregistreerde speler, (artikel 8 Kansspelwet);
Het toepassen van de wettelijke bepaalde maatregelen ter bescherming van spelers en gokkers, in het bijzonder de leeftijdsvereisten bij kansspelen via informatiemaatschappijinstrumenten, daar dit rechtstreeks samenhangt met de registratiegegevens van de speler. Via internet is de verificatie van de leeftijd rechtstreeks gekoppeld aan de door de speler via internet ingevoerde gegevens. Enkel de controle van de registratie van de speler via controle bij het rijksregister van de ingevoerde gegevens verzekert de naleving van de leeftijdsvereisten. (artikel 54, § 1, 4 lid Kansspelwet);
2 Zie . http://www.gamingcommission.be/opencms/opencms/jhksweb_fr/gamingcommission/jaarverslagen.html.
3 http://www.privacycommission.be/sites/privacycommission/files/documents/beraadslaging_RR_72_2012_0.pdf, blz. 9-11.
16. Zoals het Sectoraal comité van het Rijksregister in zijn beraadslaging onderstreept zijn de doeleinden van de webservices tweeërlei. Het gaat enerzijds om het controleren van de identiteit van de speler. Men controleert of de leeftijdsvoorwaarde wordt nageleefd (21 jaar voor casino's en automatische speelzalen en 18 jaar voor weddenschappen) en of het gaat om een uitgesloten speler. Na deze controle ontvangt de speler een unieke code (sleutel of token) die hem toelaat online te spelen. Anderzijds gaat het om het contoleren van het gemiddelde verlies per uur. Voor de kansspelen via de informatiemaatschappij-instrumenten wordt het verlies per uur berekend per speler en niet per machine zoals in de reële wereld, zodat de authenticatie van een speler in dit verband zeer belangrijk is. Het belang van de webservices impliceert dat de aanvrager thans een continuservice dient te bieden, vooral wanneer internetlicenties worden toegekend.
17. Zoals de aanvrager verklaart is er tot op heden geen enkele netwerkverbinding gerealiseerd tussen de Kansspelcommissie en de diensten van het Rijksregister van de Algemene Directie Instellingen en Bevolking van de Federale Overheidsdienst Binnenlandse Zaken voor registratie in het raam van de online kansspelen, en dit voornamelijk wegens budgettaire redenen (gezien het grote aantal online spelers). Het koninklijk besluit dat een bedrag bepaalt dat aan de diensten van het Rijksregister moet worden betaald kon nog niet worden goedgekeurd. Momenteel wordt door de Kansspelcommissie enkel gebruik gemaakt van het Rijksregister in het raam van de behandeling van de licentieaanvragen en de uitsluitingsprocedures. In het raam van de online kansspelen worden enkel het rijksregisternummer of paspoortnummer gevraagd dat door de kandidaat-speler manueel moet worden ingevoerd via een web interface. De kansspelcommissie stelt echter vast dat het niet alleen makkelijk is een rijksregisternummer te creëren maar dat eveneens meer mensen dit durven doen als vroeger. De Kansspelcommissie wil dan ook verandering brengen in deze situatie en wenst dat voor de online kansspelen effectief een netwerkverbinding met het Rijksregister wordt ingevoerd.
18. De Commissie voor de bescherming van de persoonlijke levenssfeer verzoekt de aanvrager de nodige initiatieven te nemen opdat de Kansspelcommissie de machtiging die haar werd verleend zou kunnen gebruiken voor het doeleinde controle, zoals dit wordt omkaderd door onderhavig ontwerp van koninklijk besluit. De Kansspelcommissie moet in de mate van het mogelijke een ondubbelzinnige identificatie van de spelers invoeren zowel bij de registratie als tijdens het spel. De Commissie voor de bescherming van de persoonlijke levenssfeer verwijst onder meer naar een Aanbeveling van de Europese Commissie van 14 juli 2014 betreffende beginselen ter bescherming van consumenten en gebruikers van onlinegokdiensten en ter
voorkoming van onlinegokken door minderjarigen4. Deze stelt in artikel 18°: "De identiteitsgegevens van de speler zouden moeten worden geverifieerd. Als directe elektronische verificatie niet mogelijk is, worden de lidstaten aangemoedigd te voorzien in vereenvoudigde toegang tot nationale registers, databanken of andere officiële bronnen met behulp waarvan exploitanten de identiteit zouden moeten verifiëren." In haar artikel 20 voegt zij hieraan toe: "De lidstaten worden ertoe aangemoedigd systemen voor elektronische identificatie in te voeren in de registratieprocedure".
19. Om zoals hierboven vermeld de bedoelde voortgezette controle te bereiken, registreren en identificeren de webservices principieel de spelers die door de Kansspelcommissie een spelerssleutel krijgen toegekend. Artikel 43/8, §2, 2° bepaalt in dit verband dat de voorwaarden waaronder de spelen kunnen worden aangeboden minstens betrekking hebben op de registratie en identificatie van de speler.
20. De Commissie merkt echter op dat in de ontwerptekst behalve het principe hierover niets werd bepaald. De ingezamelde gegevens, de manier waarop ze worden ingezameld en de wijze waarop controle wordt uitgevoerd werden niet gepreciseerd. Bovendien stelt de Commissie vast dat artikel 62, 7de lid van de wet op de kansspelen op een gelijkaardige wijze als artikel 43/8, § 2, 2° bepaalt dat de Koning via een koninklijk besluit "de wijze bepaalt waarop de spelers worden toegelaten en geregistreerd voor deelneming aan kansspelen via een elektronisch communicatienetwerk (…). Het ontwerp van koninklijk besluit lijkt een opportuniteit om deze bepaling te implementeren.
21. Uit de door de aanvrager verstrekte bijkomende informatie blijkt dat de momenteel bij de kandidaat-speler ingezamelde registratiegegevens, die hij zelf moet invoeren in een web interface, de volgende zijn: rijksregisternummer of paspoortnummer, naam, voornaam, geboortedatum en –plaats, adres, nationaliteiten e-mailadres. De uitgeoefende controle is beperkt door het ontbreken van een verbinding met de diensten van het Rijksregister en bestaat uit een "modulo 97 check", die de mathematische geldigheid van het rijksregisternummer controleert, en een controle van de overeenstemming tussen de geboortedatum met het opgegeven rijksregisternummer. Ook de leeftijdsvoorwaarde wordt enkel gecontroleerd aan de hand van dit rijksregisternummer.
22. Wat de identificatie betreft werd door de Kansspelcommissie gezocht naar een evenwicht teneinde niet te dwingend over te komen en vele spelers richting illegale websites te stuwen.
Zo zou volgens de door de aanvrager verstrekte bijkomende inlichtingen, het verplichte gebruik van de eID (met PIN-code) in deze context niet opportuun zijn en dient er rekening te
4 http://eur-lex.europa.eu/legal-content/NL/TXT/PDF/?uri=CELEX:32014H0478.
worden gehouden met de deelname van buitenlandse spelers op de door de Kansspelcommissie erkende platformen (er is ook een financieel/budgettaire reden om deze oplossing niet te gebruiken). De bedoeling van de Kansspelcommissie bestond in het uitwerken van een pragmatische oplossing (die geleid heeft tot een identificatie van de speler die ongetwijfeld niet perfect is en kan worden omzeild) die voor haar haalbaar was en als doel had de spelers die niet zouden mogen spelen zo veel mogelijk af te remmen. Tezelfdertijd is het de bedoeling de legale spelers niet al te veel af te schrikken met zware procedures die hen mogelijk zouden kunnen doen uitwijken naar illegale websites. Uiteindelijk gaat het hier om de afweging van twee belangen: de bescherming van de spelers enerzijds en de mogelijkheid voor de spelers om op ieder moment te spelen.
23. De Commissie voor de bescherming van de persoonlijke levenssfeer neemt nota van de uitleg van de aanvrager. Zij meent dat het verplicht gebruik van de elektronische identiteitskaart een vorm van discriminatie zou betekenen tussen Belgische spelers en inwoners van andere lidstaten wat de toegang betreft tot online kansspelen. Een dergelijke verplichting zou bovendien weinig zin hebben inzake veiligheid aangezien het beveiligingsniveau van een toegang moet geëvalueerd worden in het licht van zijn zwakste schakel, in dit geval de toegangsprocedure voor buitenlandse spelers. Zij verzoekt de aanvrager niettemin een eenvormige en ondubbelzinnige elektronische identificatieprocedure te overwegen volgens de laatste technische standaarden en benadrukt dat de Kansspelcommissie, onder meer met het oog op de bescherming van minderjarigen, bij iedere toegang de spelers op ondubbelzinnig wijze en zonder mogelijkheid om hieraan te ontkomen, moet kunnen identificeren.
24. Wat de controle zelf betreft, verklaart de aanvrager dat elke houder van een licentie verplicht is de webservices te integreren die nagaan of een persoon al dan niet uitgesloten is. Via deze integratie controleert de Kansspelcommissie voor iedere gebruiker die zich registreert of het gaat om een uitgesloten speler. Deze ontvangt vervolgens een spelerssleutel. Op basis van deze sleutel vindt een controle plaats bij iedere connectie om na te gaan of de speler al dan niet uitgesloten is. Bovendien vindt om de 24 uur automatisch een controle plaats van iedere aangelogde speler. De aanvrager voegt eraan toe dat de licentiehouders er geen enkel belang bij hebben de controleprocedures niet toe te passen vermits de sancties zwaar zijn.
25. De Commissie neemt nota van de verklaringen van de aanvrager maar verzoekt hem niettemin in de ontwerptekst op z'n minst te verduidelijken welke gegevens de speler in het raam van deze registratie en identificatie moet meedelen. Zij herinnert eraan dat deze gegevens toereikend, ter zake dienend en niet overmatig mogen zijn in het licht van de beoogde doeleinden.
B.4. Specifiek onderzoek van artikel 11
26. Dit artikel waarvoor de aanvrager specifiek het advies van de Commissie vraagt, bepaalt:
"§1. De commissie vaardigt een noodprocedure uit ingeval de webservices van de commissie niet functioneren.
De commissie registreert het niet functioneren van de webservices.
§2. Tijdens de noodprocedure mogen spelers spelen zonder dat de webservices worden gebruikt. De aanvullende vergunninghouder blijft tijdens de noodprocedure in de mate van het mogelijke controleren of spelers zich bevinden in één van de uitsluitingsgevallen zoals bepaald in artikel 54 van de Kansspelwet.
De aanvullende vergunninghouder houdt een lijst van spelers bij die acties verrichtten op de website die normaal het gebruik van de webservices die de wettelijke uitsluitingsmogelijkheden controleert, noodzaakt. Deze lijst bevat de naam, de voornaam, de geboortedatum en de spelerssleutel als die beschikbaar is.
Deze lijst wordt gebruikt om te controleren of uitgesloten spelers aan het spelen zijn nadat de webservices opnieuw operationeel zijn.
De aanvullende vergunninghouder sluit deze spelers onmiddellijk uit en geeft kennis hiervan aan de commissie.
Deze lijst wordt bewaard gedurende drie jaren.
§3. Tijdens de noodprocedure controleert de aanvullende vergunninghouder elke vijftien minuten of de webservices werken.
De noodprocedure eindigt als de webservices opnieuw functioneren.
§4. Onder voorbehoud van het individueel en persoonlijk beantwoorden van een vraag van een speler mag de aanvullende vergunninghouder de spelers niet inlichten over de actieve noodprocedure.
§5. Indien nodig vaardigt de commissie een informatieve nota uit die dit artikel verduidelijkt."
27. De aanvrager verduidelijkt in zijn bijkomende uitleg dat de oplossing, die erin bestaat het spelen onmogelijk te maken wanneer de webservices niet in werking zijn, onleefbaar is voor de sector. De speler kan trouwens op geen enkele wijze weten dat de webservices niet operationeel zijn. Hij voegt eraan toe dat de controle die "in de mate van het mogelijke" wordt uitgevoerd door de licentiehouder voornamelijk slaat op de leeftijdsvoorwaarde en op het feit of de speler niet werd uitgesloten tijdens de voorgaande 24 uur.
28. Artikel 11 van het ontwerp vermeldt dat het doeleinde van de lijst die bijgehouden wordt door de aanvullende vergunninghouder gedurende de noodprocedure erin bestaat na te gaan of uitgesloten spelers aan het spelen zijn nadat de webservices opnieuw operationeel zijn.
29. De Commissie stelt zich vragen bij de formulering van deze bepaling. Immers, als de webservices operationeel zijn, is dat dan niet hun rol? Wat is dan het nut van deze lijst?
30. Volgens de aanvrager is het de bedoeling van deze lijst om de Kansspelcommissie toe te laten in het raam van haar jaarlijkse evaluatie te controleren in welke mate een individueel of een structureel probleem zich heeft voorgedaan met uitgesloten spelers op het moment dat de webservices niet werkten.
31. De Commissie verzoekt de aanvrager om dit doeleinde op te nemen in het ontwerp van koninklijk besluit in plaats van het thans in het ontwerp vermelde doeleinde.
32. De aanvrager rechtvaardigt de bewaringstermijn van drie jaar met het argument dat er jaarlijks evaluaties van het systeem plaatsvinden en dat er voldoende informatie moet zijn op het ogenblik dat problemen worden vastgesteld. Volgens de aanvrager gebeurt het regelmatig (gemiddeld 5 tot 7 maal per jaat) dat de webservices niet werken (aangezien het gaat om een nieuw systeem, dat er soms wijzigingen moeten worden aangebracht, dat koninklijke besluiten moeten worden geïmplementeerd,…). Een onmiddellijke controle, en zeker een onmiddellijke vernietiging van de lijst, zou onmogelijkzijn bij gebrek aan middelen. De bewaring van deze gegevens is ook niet van onmiddellijk belang voor de vergunninghouder zodat een misbruik van deze gegevens niet meteen aan de orde lijkt.
33. De Commissie vestigt de aandacht op de vergelijking die kan gemaakt worden met artikel 7 van het koninklijk besluit van 15 december 2004 betreffende het instellen van een systeem van informatieverwerking voor spelers aan wie de toegang tot kansspelinrichtingen van klasse I en klasse II wordt ontzegd. Dit artikel voorziet op gelijkaardige wijze in het bijhouden van een lijst van uitgesloten spelers wanneer de vergunninghouder geen toegang krijgt tot het systeem van uitgesloten spelers EPIS, in volgende bewoordingen (passage onderstreept door de Commissie):
"Wanneer de toegang tot EPIS, om welke reden dan ook en buiten de wil van de exploitant, onmogelijk is, moeten de spelers onverminderd artikel 62 van de wet, opgenomen worden in een andere lijst.
Deze lijst omvat de naam, voornaam, geboortedatum, geboorteplaats, adres en beroep van elke speler.
De exploitant brengt de Kansspelcommissie en de beheerder van EPIS onmiddellijk per fax van op de hoogte dat EPIS niet toegankelijk is.
Wanneer EPIS weer toegankelijk is, moeten alle spelers, opgenomen in de aparte lijst, worden gecontroleerd. Wanneer er voor één van deze spelers een ja' verschijnt, moet de Kansspelcommissie hiervan onmiddellijk in kennis worden gesteld.
Na deze controle wordt het schriftelijk register onmiddellijk vernietigd door de verantwoordelijke van de kansspelinrichtingen klasse I of II".
34. De Commissie herinnert er eveneens aan dat overeenkomstig artikel 4, §1, 5, persoonsgegevens niet langer mogen bewaard worden dan nodig om het beoogde doeleinde te verwezenlijken.
35. Rekening houdend met deze elementen oordeelt de Commissie dat de gegevens onmiddellijk na de jaarlijkse evaluatie zouden moeten vernietigd worden.
C. ONDERZOEK VAN HET ONTWERP VAN KONINKLIJK BESLUIT BETREFFENDE DE NADERE REGELS VAN TOEZICHT EN CONTROLE
C.1. Algemene voorstelling
36. Het ontwerp van koninklijk besluit "toezicht en controle" bevat 34 artikelen en is vergezeld van twee bijlagen. Het bevat een aantal definities alsook toezicht- en controlemodaliteiten voor kansspelen die uitgebaat worden via gemachtigde websites:
De regels van toezicht op en de controle van de geëxploiteerde kansspelen in de kansspelinrichtingen van de vergunninghouders A+, B-+- en F1-+-, inzonderheid door middel van een passend informaticasysteem;
De nadere regels inzake preventieve en repressieve controle;
De nadere regels van toezicht DP en controle op de servers waarop de gegevens en de website-inrichting worden beheerd:
o Te vervullen verplichtingen door de aanvullende vergunninghouder(artikelen 10 tot en met 19);
o De certificatie van de server;
o Niet-naleving van de verplichtingen bedoeld in artikelen 10 tot en met 19;
Controle van de spelen;
Controle van de website;
Controle van de webservices.
C.2. Specifiek onderzoek van de artikelen 16 en 17
37. De aanvrager vraagt het advies van de Commissie over twee bepalingen van het ontwerp van koninklijk besluit die betrekking hebben op de bescherming van persoonsgegevens.
38. Artikel 16 bepaalt:
"§1. De aanvullende vergunninghouder waarborgt door gepaste maatregelen de confidentialiteit en de integriteit van de hierna vermelde datastromen tussen:
1 ° het spelsysteem en de speler; .
2° het spelsysteem en de (kansspel-)commissie;
3° het spelsysteem en het betalingsplatform.
§2, De aanvullende vergunninghouder beveiligt en conserveert de archivering van relevante spelgegevens inzonderheid neemt hij bijkomende maatregelen om de confidentialiteit van gevoelige spelgegevens te waarborgen".
39. Artikel 17 bepaalt op zijn beurt:
"De aanvullende vergunninghouder houdt volgende eventhistorieken gedurende drie jaren ter beschikking van de commissie:
1° Alle random generaties en de daaruit volgende spelsekwens (sic), 2° Alle inzetten, winsten en speeltijden van spelers;
3° Alle transfers van en naar de spelersrekening;
4° Alle klachten vanwege spelers;
5° Alle foutmeldingen van de spel- en spelbeheerapplicaties;
6° Alle foutmeldingen van de besturingssystemen en de steunapplicaties - onder andere de databases- engine en de authenticatie;
7° Alle upgrades en updates van zowel de applicaties als de besturingssystemen;
8° Alle pogingen tot externe en interne intrusie;
9° Alle rapporteringen die relevant zijn voor de veiligheid en encryptie;
10° Alle geplaatste weddenschappen met inbegrip van de verplichtingen zoals voorgeschreven in het koninklijk besluit van 22 december 2010 betreffende de werkingsregels van de weddenschappen".
40. De Commissie neemt akte van de inhoud van deze bepalingen en herhaalt dat artikel 16 van de WVP de verantwoordelijke voor de verwerking, in onderhavig geval de aanvullende vergunninghouder verplicht om "de gepaste technische en organisatorische maatregelen treffen die nodig zijn voor de bescherming van de persoonsgegevens" en voegt hieraan toe dat "deze maatregelen moeten een passend beveiligingsniveau verzekeren, rekening houdend, enerzijds, met de stand van de techniek ter zake en de kosten voor het toepassen van de maatregelen en, anderzijds, met de aard van de te beveiligen gegevens en de potentiële risico's". Voor een concrete interpretatie van deze bepalingen verwijst de Commissie naar de Referentiemaatregelen voor de beveiliging van elke verwerking van
persoonsgegevens5, naar de richtsnoeren met betrekking tot de informatiebeveiliging6 alsook naar de aanbeveling die zij uitbracht met het oog op het voorkomen van gegevenslekken7.
OM DEZE REDENEN
Gelet op de in onderhavig advies geformuleerde opmerkingen verstrekt de Commissie voor de bescherming van de persoonlijke levenssfeer:
een gunstig advies met betrekking tot het voorgelegde ontwerp van koninklijk besluit betreffende het toezicht en de controle alsook wat betreft het ontwerp van koninklijk besluit betreffende de webservices mits rekening wordt gehouden met de opmerkingen die werden geformuleerd in de punten 18, 20, 23, 25, 29, 31 en 33 tot 35.
De Wnd. Administrateur, De Voorzitter,
(get.) Patrick Van Wouwe (get.) Willem Debeuckelaere
5
http://www.privacycommission.be/sites/privacycommission/files/documents/referentiemaatregelen_voor_de_beveiliging_van_
elke_verwerking_van_persoonsgegevens_0.pdf.
6 http://www.privacycommission.be/sites/privacycommission/files/documents/richtsnoeren_informatiebeveiliging_0.pdf.
7 http://www.privacycommission.be/sites/privacycommission/files/documents/aanbeveling_01_2013.pdf.
